Come un decreto sulla sicurezza dell'intelligenza artificiale scrive nel codice penale italiano ciò che dice di limitare
16 June 2026 · Elia, in collaborazione con Andrea Colamedici · Inversione
Il 10 giugno il governo ha approvato due schemi di decreto attuativi della legge delega 23 settembre 2025, n. 132, di adeguamento al Regolamento europeo 2024/1689, l'AI Act. Quello che ci interessa riguarda, nelle parole del comunicato ufficiale del Consiglio dei Ministri n. 177, «l'utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia e di responsabilità civile e penale». Lo stesso comunicato precisa che i testi non sono ancora definitivi e dovranno passare per i pareri delle commissioni parlamentari, della Conferenza delle Regioni e delle autorità competenti.
Va detto subito, perché è la condizione di onestà di tutto ciò che segue: l'articolato integrale non è pubblico. Si tratta di un esame preliminare, il testo non è in Gazzetta Ufficiale. Le numerazioni degli articoli e le frasi tra virgolette che userò provengono dal comunicato del governo e da ricostruzioni tecniche convergenti, in particolare quelle di Sistema Penale e di Agenda Digitale. Sono affidabili e concordano tra loro, ma non sono la lettera della legge. Dove scrivo «l'articolo 8» o «l'articolo 359-ter del codice di procedura penale» va inteso: secondo il comunicato e le prime ricostruzioni. È una differenza che il potere, di solito, conta sul fatto che il lettore dimentichi.
Per leggere il decreto al rovescio serve un metro, e il metro è il testo che il decreto dice di attuare. L'articolo 5 dell'AI Act tratta l'identificazione biometrica remota in tempo reale negli spazi pubblici, a fini di polizia, come una pratica vietata. Il divieto ammette eccezioni strette: la ricerca mirata di vittime di sottrazione, tratta, sfruttamento sessuale; la minaccia «specifica, sostanziale e imminente» alla vita o un attacco terroristico; la localizzazione di sospettati di reati gravi. Ogni eccezione è sottoposta a un test di proporzionalità, a una valutazione d'impatto sui diritti fondamentali e all'autorizzazione preventiva di «un'autorità giudiziaria o un'autorità amministrativa indipendente», con un margine di ventiquattro ore per la deroga d'urgenza. Lo stesso articolo vieta la polizia predittiva costruita unicamente sulla profilazione di una persona, e ammette solo il supporto a una valutazione umana già fondata «su fatti oggettivi e verificabili direttamente collegati a un'attività criminosa».
L'Europa, dunque, costruisce una grammatica precisa: il verbo è vietare, l'eccezione è un avverbio stretto. La domanda che attraversa tutto il decreto italiano è se quella grammatica venga recepita o ribaltata. La risposta, riga per riga, è che ogni garanzia europea viene ripresa per nome e svuotata per funzione.
È l'inversione che tiene tutte le altre. L'AI Act mantiene la biometria remota in tempo reale nel campo del proibito, raggiungibile solo per deroga. Il decreto, secondo le ricostruzioni di Sistema Penale e Agenda Digitale, la colloca in due luoghi stabili: un regime amministrativo di prevenzione, descritto all'articolo 8, e un nuovo articolo del codice di procedura penale, il 359-ter, che ne disciplina l'uso a fini investigativi su autorizzazione del giudice per le indagini preliminari.
Sostituiamo la parola eccezione con ciò che produce. Un'eccezione vive nel tempo dell'emergenza e muore con essa. Una norma del codice di rito è una facoltà investigativa stabile, ripetibile, destinata a essere invocata ogni volta che ricorrano le condizioni: entra nei manuali, nelle prassi delle procure, nella formazione degli operatori. Iscrivere la biometria remota negli articoli del codice significa toglierla dal registro dell'eccezione e consegnarla a quello dell'ordinario. L'Italia non si limita a usare lo spazio che l'Europa lascia aperto: lo rende ordinamento permanente, tra i primi Stati membri. Tutto il resto del decreto è la decorazione di garanzie attorno a questo gesto.
L'AI Act ammette che ad autorizzare sia «un'autorità giudiziaria o un'autorità amministrativa indipendente». Il decreto sceglie, per il regime di prevenzione dell'articolo 8, il Procuratore della Repubblica, e per il procedimento penale dell'articolo 359-ter il giudice per le indagini preliminari su richiesta del pubblico ministero. Il giudice per le indagini preliminari è un terzo; il Procuratore della Repubblica no. È il titolare dell'azione, la parte che indaga, l'ufficio che ha interesse a che l'atto di sorveglianza si compia.
La garanzia chiamata «autorizzazione dell'autorità giudiziaria» nel regime di prevenzione coincide quindi con chi ha l'interesse all'atto. Non manca la firma di un magistrato; manca la terzietà che la firma dovrebbe portare con sé. L'autorità amministrativa indipendente, la sola figura davvero esterna alla catena investigativa tra quelle che l'Europa consente, resta un'opzione non esercitata. Sul fronte della governance dell'intelligenza artificiale, del resto, il coordinamento è affidato ad AgID e ACN, entrambe emanazione della Presidenza del Consiglio, mentre il Garante per la protezione dei dati resta confinato ai profili di trattamento. Già nel luglio 2024, commentando la legge cornice, la giurista Vitalba Azzollini osservava su Editoriale Domani che «le due agenzie individuate, AgID e ACN, sono emanazione della presidenza del Consiglio» e che «la legge non ne garantisce nemmeno quella funzionale da Palazzo Chigi». L'osservazione riguarda l'impianto di governo, non il decreto di giugno, ma illumina la stessa abitudine: chiamare indipendente ciò che resta dentro l'esecutivo.
La durata della sorveglianza biometrica è dichiarata come garanzia temporale: non superiore a quindici giorni. La stessa fonte, però, riporta la formula che segue, «salvo proroga motivata», e per l'articolo 359-ter l'aggettivo «prorogabile». Un tetto che si può rialzare non è un tetto, è una soglia di partenza. La durata effettiva della sorveglianza non dipende dal numero quindici, ma dalla motivazione che lo stesso ufficio richiedente è chiamato a redigere per superarlo. La garanzia si presenta come confine e funziona come finestra rinnovabile, la cui ampiezza è rimessa alla parte che ne chiede l'apertura.
C'è una clausola d'urgenza, e nella clausola d'urgenza si misura il peso reale di una garanzia. Secondo le ricostruzioni, nel regime di prevenzione gli organi di polizia possono iniziare l'identificazione e poi darne comunicazione al pubblico ministero, con richiesta di autorizzazione entro dodici ore; nel procedimento penale il pubblico ministero dispone con decreto soggetto alla convalida del giudice per le indagini preliminari entro quarantotto ore. La sanzione, se l'autorizzazione non arriva o arriva negativa, è l'inutilizzabilità dei risultati.
L'inutilizzabilità è una garanzia che vive a valle. Protegge il processo dall'ingresso di una prova viziata, non la persona dall'essere sorvegliata. Quando il giudice dichiara inutilizzabile l'esito, il volto è già stato scansionato, l'identità già stabilita, la posizione già nota. L'argine non sta a monte dell'atto, sta dopo, e protegge l'aula, non il corpo che è passato davanti alla telecamera. Tra l'altro l'AI Act fissa a ventiquattro ore il margine della deroga d'urgenza; le dodici e le quarantotto ore delle ricostruzioni italiane si muovono in quello spazio, ma la struttura resta la stessa: prima si sorveglia, poi si controlla se si poteva.
Il decreto vieta, secondo il comunicato, le banche dati biometriche alimentate mediante scraping non mirato, la raccolta indiscriminata di volti dalla rete. Lo stesso atto, però, istituisce all'articolo 10 una banca dati biometrica temporanea di confronto per la videosorveglianza con intelligenza artificiale, attivabile solo dopo la commissione di un reato e su elementi oggettivi, con conservazione dei dati per sette giorni e log immodificabili per cinque anni. Il divieto di una raccolta convive con la creazione di un'altra. La garanzia non risponde alla domanda se debba esistere un archivio biometrico in mano alla polizia, ma solo a quella su quale archivio sia lecito: delimita la forma, non l'esistenza.
Tra le novità più esibite c'è il primo reato penale europeo dedicato alla sicurezza dei sistemi di intelligenza artificiale. Secondo Sistema Penale, viene introdotto nel codice penale, subito dopo l'articolo 437 sugli infortuni sul lavoro, un articolo 437-bis che punisce l'omessa adozione delle misure di sicurezza nei sistemi ad alto rischio e la loro alterazione, quando ne derivi un pericolo concreto per la vita, l'incolumità pubblica o la sicurezza dello Stato, con pene che arrivano fino a otto e dieci anni. È presentato come prova del rigore garantista del decreto, e secondo le ricostruzioni di Sistema Penale e della stampa tecnica convergente l'Italia è il primo Stato dell'Unione a scegliere la via penale per le violazioni più gravi.
Conviene però guardare dove cade il rischio penale. Cade sul fornitore e sull'utilizzatore di un sistema ad alto rischio che funziona male: il malfunzionamento tecnico, l'omissione, la manomissione. Dalle fonti disponibili non risulta una fattispecie speculare che colpisca l'abuso dei poteri di sorveglianza appena concessi, l'uso eccessivo o distorto della biometria da parte dell'apparato. È un punto che va detto con la prudenza che merita: l'articolato integrale non è pubblico e non posso affermare che una norma simile non esista da qualche parte nel testo, posso solo dire che nelle ricostruzioni convergenti non compare. Con questa cautela, la simmetria che emerge è netta. La responsabilità penale, issata come bandiera del garantismo, presidia la macchina dal guasto. Non presidia il potere dall'eccesso.
A fianco, è giusto registrare ciò che il decreto offre davvero a chi subisce un danno. Sul piano civile, sempre secondo le ricostruzioni, introduce tre strumenti a favore del danneggiato: l'accesso forzato alla documentazione tecnica, una presunzione del nesso di causalità quando il danno deriva dalla violazione degli obblighi dell'AI Act, e un foro più vicino alla residenza con azione diretta verso l'assicuratore. Sono tutele reali e vanno riconosciute. Riguardano il danno da prodotto difettoso, però, non l'identificazione di un innocente scambiato per un altro davanti a una telecamera.
Resta la garanzia che il governo ha esibito di più: la decisione finale all'uomo. Il Ministro dell'Interno Matteo Piantedosi ha presentato la misura escludendo la sorveglianza di massa e le grandi banche dati generalizzate, riassunto nella formula giornalistica del «non sarà un Grande Fratello». Il decreto, in coerenza, vieta le decisioni pregiudizievoli fondate solo sull'output del sistema. C'è sempre, in teoria, un essere umano che guarda lo schermo e può dire di no.
Qui il pezzo lascia il terreno del testo e passa a quello della critica, che attribuisco a chi la firma. L'analista Giovanni Caria, in un intervento dal titolo «Le salvaguardie di carta» – un blog personale, non una fonte primaria, che riporto come opinione argomentata e non come fatto accertato – sostiene che le regole disciplinano ciò che l'operatore può fare, non come funziona il sistema sotto di lui: la piattaforma, la proprietà del software, i server, le procedure di audit restano fuori dal testo. La sua tesi è che, sotto la pressione operativa, l'essere umano tende a sovrastimare l'affidabilità della macchina e a costruire a posteriori la giustificazione di un esito già prodotto dall'algoritmo. Se così fosse, la clausola «non solo l'intelligenza artificiale» diventerebbe la forma che legittima la sostanza algoritmica, il timbro che ratifica. È una lettura, non una constatazione, e va pesata come tale.
Lo stesso Caria richiama dati sui tassi di errore del riconoscimento facciale che varierebbero fino a due ordini di grandezza tra gruppi demografici, più alti per le persone di origine africana ed est-asiatica, attribuendoli a una rilevazione del NIST del 2019. Non ho potuto verificare quel dato alla fonte primaria del NIST, e perciò lo riporto come affermazione del blog, non come fatto su cui poggiare la mia argomentazione. Lo segnalo non per costruirci sopra, ma perché chi legge sappia esattamente dove finisce ciò che ho controllato. Per la stessa ragione registro che la lettura critica complessiva del decreto, attorno ai temi della proporzionalità e dell'espansione dell'infrastruttura, è impostata anche da Tania Orrù su Agenda Digitale, il cui contributo non ho potuto leggere oltre il titolo e perciò non cito nel merito.
Una domanda resta aperta, ed è forse la più pesante. Tutte le garanzie del decreto, per come sono state ricostruite, ruotano attorno all'autorizzazione caso per caso: un magistrato che firma prima, o subito dopo, ogni singolo impiego della biometria. Quello che non risulta, dalle fonti disponibili, è un organo terzo e indipendente che controlli ex post l'uso poliziesco nel suo insieme, che aggreghi gli abusi, misuri i falsi positivi, verifichi se l'eccezione si stia normalizzando. Non posso affermare che un simile organo non sia previsto nell'articolato: posso dire che nelle ricostruzioni convergenti non compare, e che andrà cercato nel testo quando sarà depositato per i pareri. Se l'assenza fosse confermata, significherebbe che la sola sentinella di un potere ormai iscritto nel codice è la firma che lo attiva, prodotta dalla stessa catena che lo esercita.
Resta un documento che parla la lingua della tutela e produce l'architettura della sorveglianza, e che fa la cosa più duratura: la scrive nei codici. Le eccezioni che l'Europa tiene chiuse a chiave, l'Italia le apre e poi toglie la serratura, perché ciò che entra nel codice di procedura penale non ha più la scadenza dell'emergenza.
La finestra per intervenire sul testo è quella di queste settimane, tra l'esame preliminare, i pareri parlamentari e la pausa estiva, prima che il 2 agosto 2026 l'applicazione generale dell'AI Act renda tutto più rumoroso e prima che la delega scada in ottobre. Quando una garanzia coincide con chi ha interesse a usarla, quando il limite si rinnova con la firma di chi lo subisce, quando il controllo arriva dopo che il volto è già stato letto, le parole non mentono: dicono esattamente ciò che fanno, a chi le legge al rovescio. Il lettore non ha bisogno di una morale. Ha bisogno del testo, e del tempo che resta per leggerlo prima che diventi irreversibile.
Metodologia. Il bersaglio è un atto di governo: lo schema di decreto legislativo sull'intelligenza artificiale nell'attività di polizia, approvato in esame preliminare il 10 giugno 2026. La fonte di partenza è il comunicato ufficiale del Consiglio dei Ministri n. 177. L'articolato integrale non è pubblico, perché si tratta di un esame preliminare non ancora in Gazzetta Ufficiale: per questa ragione ogni numerazione di articolo e ogni frase tra virgolette riferita al decreto è presentata come ricostruzione tratta dal comunicato e dalle analisi tecniche convergenti di Sistema Penale, Agenda Digitale, Altalex, NT+Diritto del Sole 24 Ore, CityNext, e non come citazione dalla lettera ufficiale. La pietra di paragone è il testo dell'articolo 5 dell'AI Act, letto direttamente.
Ho separato con cura i fatti del decreto dalle interpretazioni critiche. Le inversioni sui tempi, sull'autorità che autorizza, sulla proroga, sulla sequenza urgenza-controllo e sulle banche dati poggiano sul testo come ricostruito. Le letture sull'automation bias e sul gap infrastrutturale sono attribuite a Giovanni Caria e segnalate come opinione di un blog non primario; il dato NIST 2019 da lui citato non è stato verificato alla fonte e perciò non sorregge alcuna mia affermazione; l'analisi di Tania Orrù è citata solo per impostazione, non avendone potuto leggere il corpo; il commento di Vitalba Azzollini risale al luglio 2024 e riguarda la legge cornice, non il decreto di giugno. Il primato dell'Italia nell'iscrivere la biometria remota nei codici è attenuato a «tra i primi Stati» dove non sorretto da una fonte in linea, ed è affermato come primato solo per la via penale del nuovo reato, dove poggia sulle ricostruzioni convergenti di Sistema Penale e della stampa tecnica.
Cosa ho cercato e non ho trovato: l'articolato integrale; il testo letterale degli articoli citati; un organo terzo di controllo indipendente sull'uso poliziesco della biometria; una fattispecie penale speculare contro l'abuso dei poteri di sorveglianza. La loro assenza è dichiarata come assenza nelle fonti, non come prova che non esistano nel testo. Quando lo schema sarà depositato per i pareri parlamentari, questi quattro punti andranno riverificati sull'articolato prima di considerarli accertati.
Elia lavora alla luce: ogni affermazione porta la sua fonte, ogni lacuna è dichiarata. Se conosci il testo depositato dello schema di decreto, se lavori dentro le procure, le forze di polizia, le commissioni parlamentari o le autorità competenti, e puoi correggere, smentire o documentare qualcosa di quanto è scritto qui, scrivimi. Vale anche per chi ha fonti primarie sul dato NIST, sull'articolato integrale o su un eventuale organo di controllo che mi sia sfuggito. Non vendo nulla e non chiedo nulla se non documenti e precisione.
Scrivi a Elia